L’industria automobilistica moderna si trova ad affrontare sfide senza precedenti nella protezione delle informazioni. Con la digitalizzazione crescente, la condivisione di dati sensibili lungo tutta la catena di fornitura è diventata essenziale ma anche rischiosa. TISAX emerge come lo standard di riferimento per garantire che ogni attore della supply chain mantenga livelli adeguati di sicurezza delle informazioni.
TISAX (Trusted Information Security Assessment Exchange) rappresenta lo standard di eccellenza per la valutazione della sicurezza delle informazioni nel settore automotive. Sviluppato dall’associazione tedesca VDA (Verband der Automobilindustrie) e gestito dall’organizzazione ENX (European Network Exchange), TISAX fornisce un framework completo e riconosciuto a livello internazionale.
L’obiettivo primario è proteggere i dati più sensibili che circolano nell’ecosistema automotive: prototipi di nuovi veicoli, specifiche tecniche di produzione, proprietà intellettuale, strategie di mercato e dati dei clienti. La perdita o il furto di queste informazioni potrebbe compromettere la competitività di un’azienda e danneggiare gravemente la sua reputazione.
TISAX è stato adottato e riconosciuto dai principali Original Equipment Manufacturers (OEM) del mondo, tra cui BMW, Volkswagen, Mercedes-Benz, Audi, Porsche e molti altri. Questi costruttori richiedono ai loro fornitori di primo, secondo e terzo livello di ottenere la certificazione TISAX come prerequisito per la collaborazione commerciale.
La catena di fornitura automotive è complessa e interconnessa. Ogni anello deve garantire lo stesso livello di protezione per prevenire vulnerabilità che potrebbero essere sfruttate da attori malevoli.
L’evoluzione dello standard TISAX non si ferma mai. Con il rilascio della versione 6.0 del catalogo VDA ISA nell’ottobre 2023, entrata ufficialmente in vigore il 1° aprile 2024, l’industria automotive ha fatto un significativo passo avanti nella definizione dei requisiti di sicurezza.
La versione 6.0 introduce un’attenzione molto più marcata sulla convergenza tra Information Technology (IT) e Operational Technology (OT). Le tecnologie operative, che controllano i processi di produzione fisica, sono ora considerate critiche quanto i sistemi IT tradizionali. Questo riflette la crescente automazione e digitalizzazione delle fabbriche moderne, dove un attacco ai sistemi OT potrebbe bloccare la produzione o compromettere la sicurezza fisica.
I requisiti richiedono ora misure specifiche per garantire la disponibilità dei sistemi critici, la segregazione tra reti IT e OT, e protocolli di risposta agli incidenti che tengano conto delle specificità delle tecnologie operative.
Il catalogo dedicato alla protezione dei dati personali ha subito una revisione completa. Questo aggiornamento riflette l’evoluzione delle normative sulla privacy, in particolare il GDPR europeo e le sue implementazioni nazionali. I nuovi requisiti coprono aspetti come la minimizzazione dei dati, la gestione del consenso, i diritti degli interessati e le valutazioni di impatto sulla protezione dei dati (DPIA).
Le organizzazioni devono ora dimostrare una comprensione più approfondita dei flussi di dati personali e implementare controlli più stringenti per la loro protezione.
Un cambiamento importante riguarda la classificazione delle informazioni. Le precedenti etichette “Info High” e “Info Very High” sono state sostituite rispettivamente con “Confidential” e “Strictly Confidential”. Questo nuovo sistema di classificazione è più intuitivo e allineato con le pratiche internazionali di gestione delle informazioni.
Le organizzazioni devono aggiornare le proprie politiche di classificazione, le procedure di handling e i sistemi di labeling per riflettere questa nuova nomenclatura.
Il cuore di TISAX VDA ISA 6.0 risiede nei suoi requisiti specifici, progettati per coprire tutti gli aspetti critici della sicurezza delle informazioni nell’ecosistema automotive. Questi requisiti sono strutturati in domini che coprono dalla governance alla tecnologia, dalle persone ai processi.
Comprendere questi requisiti è essenziale non solo per ottenere la certificazione, ma soprattutto per costruire una postura di sicurezza robusta e resiliente che protegga realmente l’organizzazione dalle minacce moderne.
Il primo passo fondamentale è sapere esattamente quali informazioni l’organizzazione possiede, dove sono localizzate e quale è il loro livello di sensibilità. VDA ISA 6.0 richiede un processo sistematico di inventario e classificazione delle informazioni.
Le informazioni devono essere etichettate secondo le nuove categorie: Public, Internal, Confidential e Strictly Confidential. Per ciascuna categoria devono essere definiti requisiti specifici di handling, storage, trasmissione e distruzione.
La classificazione non è un’attività una tantum, ma un processo continuo che deve essere integrato nei workflow operativi. Quando viene creato un nuovo documento o dataset, deve essere immediatamente classificato secondo i criteri stabiliti.
I prototipi di nuovi veicoli e i dati di produzione rappresentano alcuni degli asset più preziosi nell’industria automotive. La loro esposizione prematura potrebbe dare vantaggi competitivi ai concorrenti o danneggiare le strategie di lancio di prodotto.
VDA ISA 6.0 richiede misure specifiche per questi asset, inclusi:
Il principio del “least privilege” (privilegio minimo necessario) è centrale in VDA ISA 6.0. Gli utenti devono avere accesso solo alle informazioni e ai sistemi strettamente necessari per svolgere le loro mansioni lavorative.
I requisiti includono:
La gestione degli accessi deve estendersi anche a fornitori, consulenti e altri terze parti che potrebbero aver bisogno di accedere a sistemi o informazioni dell’organizzazione.
l’adeguamento ai requisiti della norma TISAX (Trusted Information Security Assessment Exchange), secondo il modello VDA 6.0,
comprende l’insieme dei processi, delle funzioni organizzative, delle risorse umane, delle infrastrutture IT e delle sedi operative coinvolte nel trattamento, nella gestione e nello scambio di informazioni sensibili, in particolare quelle di natura riservata, proprietaria e/o rilevanti per il settore automotive e per la catena di fornitura.
La definizione del perimetro consente di:
Solo una volta definito e approvato il perimetro di certificazione sarà possibile procedere in modo strutturato con la Produzione e Revisione Documentale, assicurando che tutta la documentazione del Sistema di Gestione della Sicurezza delle Informazioni (SGSI/TISAX) sia:
funzionale alla successiva fase di assessment.
Il catalogo VDA ISA 6.0 dedica un’attenzione particolare e rinnovata alla protezione dei dati personali, riflettendo l’importanza crescente della privacy nell’era digitale e l’impatto delle normative come il GDPR europeo.
Il nuovo catalogo espande significativamente i requisiti relativi ai dati personali, richiedendo alle organizzazioni di:
Un principio fondamentale è la minimizzazione dei dati: raccogliere e conservare solo i dati personali strettamente necessari per finalità legittime e definite.
VDA ISA 6.0 richiede politiche chiare sulla retention che specifichino:
Le organizzazioni devono anche condurre Data Protection Impact Assessments (DPIA) quando introducono trattamenti che potrebbero presentare rischi elevati per i diritti e le libertà degli interessati.
LE IMPLEMENTAZIONI TECNOLOGICHE sono da considerarsi asset fondante di tale schema
Dal punto di vista TISAX, la formazione in materia di cybersicurezza non è un’attività “accessoria”, ma una misura di controllo fondamentale. Nel VDA ISA (che è lo standard di riferimento per TISAX) rientra nell’area Information Security Awareness & Training ed è direttamente collegata ai requisiti di gestione del rischio umano.
La formazione rappresenta una misura preventiva essenziale per la riduzione del rischio residuo legato al fattore umano, che è riconosciuto come uno dei principali vettori di compromissione della sicurezza delle informazioni.
Essa contribuisce in modo diretto alla conformità ai controlli VDA ISA relativi alla consapevolezza del personale, alla gestione degli incidenti e alla protezione delle informazioni sensibili lungo la supply chain automotive.